La sécurité et la surveillance sur AWS

a. Présentation d’IAM

Amazon IAM (Identity and Access Management) est un service central d’AWS permettant de gérer de manière sécurisée les accès aux ressources cloud. Il offre un contrôle précis des permissions en définissant des stratégies pour les utilisateurs, groupes, rôles et services. Grâce à IAM, les entreprises peuvent restreindre l’accès aux ressources selon des conditions spécifiques et renforcer leur posture de sécurité avec des fonctionnalités comme l’authentification multifacteurs (MFA) et la gestion des rôles attribués aux services.

IAM prend en charge la fédération avec des fournisseurs d’identité externes, facilitant l’intégration avec des systèmes d’authentification tiers. Il s’adapte aussi bien aux environnements monocompte qu’aux architectures multicomptes complexes, en assurant une gouvernance efficace et centralisée des accès.

Essentiel pour sécuriser les applications et infrastructures hébergées sur AWS, IAM permet d’attribuer des accès temporaires, d’appliquer des stratégies basées sur les ressources et de gérer les identités de manière fine, garantissant ainsi une administration sécurisée et flexible du cloud AWS.

b. Utilisateurs et groupes

Utilisateurs IAM

Les utilisateurs font partie des éléments fondamentaux de la gestion des identités dans AWS. Un utilisateur IAM représente une entité individuelle, comme un employé, un administrateur ou une application, qui nécessite des identifiants pour interagir avec les ressources AWS. Les informations d’identification d’un utilisateur incluent un mot de passe pour accéder à la console AWS et des clés d’accès pour utiliser les API AWS.

Pour accéder aux ressources AWS, les utilisateurs disposent de trois principales options :

a. Le chiffrement en transit (In flight)

Le chiffrement en transit vise à protéger les données lorsqu’elles circulent entre différents points, comme entre un client et un serveur, ou entre deux services. L’objectif est d’empêcher toute interception ou modification des données pendant leur transmission.

Par exemple, lorsqu’un utilisateur se connecte à une application via HTTPS, les données échangées entre le navigateur et le serveur sont chiffrées grâce à TLS (Transport Layer Security).

Les technologies utilisées pour le chiffrement des données en transit jouent un rôle clé dans la sécurisation des communications entre systèmes et nous l’utilisons au quotidien. TLS/SSL est la solution standard pour chiffrer les protocoles comme HTTPS, FTPS ou SMTPS, garantissant que les données échangées entre un client et un serveur restent confidentielles et protégées contre les attaques comme l’interception ou la manipulation. Les VPN offrent également une autre solution pour sécuriser les connexions réseau en créant des tunnels chiffrés entre des points distants (cf. chapitre Le réseau sur Amazon - Site-to-Site VPN). Enfin, SSH permet d’établir des connexions sécurisées aux systèmes distants, en chiffrant à la fois les données transmises et les commandes envoyées, tout en assurant l’authentification des utilisateurs.

Ce schéma illustre un cas où les informations échangées entre un client et un serveur ne sont pas chiffrées. Le nom d’utilisateur et le mot de passe circulent...

a. Présentation d’AWS Cloudwatch

AWS CloudWatch est un service entièrement managé conçu pour surveiller et collecter des données sur les ressources AWS et les applications hébergées sur le cloud. Il permet de recueillir des métriques en temps réel, d’analyser les performances des systèmes, de définir des alarmes pour des événements critiques, et de visualiser les données à travers des tableaux de bord personnalisés. Ce service aide les organisations à améliorer la fiabilité, l’efficacité et la visibilité globale de leurs systèmes tout en simplifiant le diagnostic des problèmes de performance.

CloudWatch s’intègre avec la majorité des services AWS tels qu’EC2, RDS, S3, et Lambda, ainsi qu’avec des applications on-premises ou tierces. Que ce soit pour surveiller les ressources utilisées, les logs applicatifs ou les événements système, CloudWatch offre une vue centralisée des performances et des opérations.

b. Les métriques

AWS CloudWatch fournit des métriques pour chaque service AWS, permettant une surveillance détaillée des ressources et des applications. Une métrique représente une variable mesurable à surveiller, telle que CPUUtilization (utilisation CPU), NetworkIn (trafic entrant), ou d’autres données spécifiques aux services.

Ce graphique tiré d’AWS CloudWatch illustre l’évolution de la métrique CPUUtilization (utilisation du processeur) pour une instance RDS nommée database-1 sur une période de temps donnée. Les variations en pourcentage sont tracées sur l’axe vertical tandis que l’axe horizontal représente les heures de la journée. Ce suivi permet de visualiser les fluctuations de l’utilisation CPU, avec des pics et des creux tout au long de la journée.

Les métriques dans CloudWatch appartiennent à des namespaces, qui regroupent les données selon leur origine (par exemple, AWS/EC2 pour les métriques des instances EC2). Il n’existe pas de namespace par défaut et on doit spécifier un namespace quand on crée une métrique....

a. Présentation d’AWS WAF

AWS WAF (Web Application Firewall) est un service géré qui protège les applications web contre les menaces courantes au niveau de la couche applicative (couche 7 du modèle OSI). Il permet de surveiller, filtrer et contrôler les requêtes HTTP(S) entrant et sortant, en fonction de règles de sécurité définies. AWS WAF est conçu pour bloquer les tentatives d’attaques, comme les injections SQL ou les scripts intersites (XSS), tout en offrant une grande flexibilité pour répondre aux besoins spécifiques des applications.

AWS WAF fonctionne avec des services AWS comme Amazon CloudFront, Application Load Balancer (ALB), et API Gateway pour protéger les applications distribuées sur Internet. Il utilise un système de règles personnalisables et prédéfinies pour détecter et bloquer les modèles de trafic malveillant.

b. Configuration

La configuration d’AWS WAF repose sur la définition de règles et leur association à des ressources AWS comme un CloudFront ou un ALB. Voici les étapes principales :